Kurz: Konfigurace snadného tlačítka F5 BIG-IP pro jednotné přihlašování k Oracle EBS

Naučte se zabezpečit Oracle E-Business Suite (EBS) pomocí Microsoft Entra ID pomocí F5 BIG-IP Easy Button Guided Configuration. Integrace BIG-IP se službou Microsoft Entra ID má mnoho výhod:

• Vylepšené zásady správného řízení nulová důvěra (Zero Trust) prostřednictvím předběžného ověření Microsoft Entra a podmíněného přístupu
  • Podívejte se, co je podmíněný přístup?
  • Viz zabezpečení nulová důvěra (Zero Trust)
• Úplné jednotné přihlašování mezi publikovanými službami Microsoft Entra ID a BIG-IP
• Spravované identity a přístup z jedné řídicí roviny
  • Viz Centrum pro správu Microsoft Entra

Další informace:

• Integrace F5 BIG-IP s Microsoft Entra ID
• Povolení jednotného přihlašování pro podnikovou aplikaci

Popis scénáře

Tento scénář se zabývá klasickou aplikací Oracle EBS, která ke správě přístupu k chráněnému obsahu používá autorizační hlavičky HTTP.

Starší verze aplikací nemají moderní protokoly pro podporu integrace Microsoft Entra. Modernizace je nákladná, časově náročná a představuje riziko výpadků. Místo toho použijte F5 BIG-IP Application Delivery Controller (ADC) k přemístit mezeru mezi staršími aplikacemi a moderní řídicí rovinou ID s přechodem protokolu.

BIG-IP před aplikací umožňuje překrytí služby pomocí předběžného ověření Microsoft Entra a jednotného přihlašování založeného na hlavičce. Tato konfigurace zlepšuje stav zabezpečení aplikace.

Architektura scénáře

Řešení zabezpečeného hybridního přístupu (SHA) má následující komponenty:

• Aplikace Oracle EBS – Publikovaná služba BIG-IP, která má být chráněna společností Microsoft Entra SHA
• Microsoft Entra ID – zprostředkovatel identity SAML (Security Assertion Markup Language), který ověřuje přihlašovací údaje uživatele, podmíněný přístup a jednotné přihlašování založené na SAML na BIG-IP
  • S jednotným přihlašováním poskytuje Microsoft Entra ID atributy relace BIG-IP.
• Oracle Internet Directory (OID) – hostuje uživatelskou databázi.
  • Big-IP ověřuje atributy autorizace pomocí PROTOKOLU LDAP.
• Oracle E-Business Suite AccessGate – ověřuje atributy autorizace pomocí služby OID a pak vydává přístupové soubory cookie EBS.
• BIG-IP – reverzní proxy server a poskytovatel služeb SAML (SP) do aplikace
  • Ověřování se deleguje na zprostředkovatele identity SAML a pak dojde k jednotnému přihlašování založenému na hlavičce k aplikaci Oracle.

SHA podporuje toky iniciované sadou SP a IdP. Následující diagram znázorňuje tok iniciovaný aktualizací SP.

1. Uživatel se připojí ke koncovému bodu aplikace (BIG-IP).
2. Zásady přístupu APM BIG-IP přesměrují uživatele na ID Microsoft Entra (SAML IdP).
3. Microsoft Entra předvyvěřuje uživatele a použije zásady podmíněného přístupu.
4. Uživatel se přesměruje na BIG-IP (SAML SP) a k jednotnému přihlašování dochází pomocí vydaného tokenu SAML.
5. BIG-IP provádí dotaz LDAP pro atribut UID (Unique ID) uživatele.
6. BIG-IP vloží vrácený atribut UID jako hlavičku user_orclguid v požadavku na soubor cookie relace Oracle EBS do Oracle AccessGate.
7. Oracle AccessGate ověřuje UID vůči službě OID a vydává soubor cookie přístupu Oracle EBS.
8. Hlavičky uživatelů Oracle EBS a soubory cookie odeslané do aplikace a vrátí datovou část uživateli.

Požadavky

Potřebujete následující komponenty:

• Předplatné Azure
  • Pokud ho nemáte, získejte bezplatný účet Azure.
• Správce cloudových aplikací nebo role Správce aplikací.
• BIG-IP nebo nasaďte virtuální edici BIG-IP (VE) v Azure.
  • Viz nasazení virtuálního počítače F5 BIG-IP v Azure
• Některé z následujících skladových položek licencí F5 BIG-IP:
  • F5 BIG-IP® Best bundle
  • Samostatná licence F5 BIG-IP Access Policy Manager™ (APM)
  • Doplněk F5 BIG-IP Access Policy Manager (APM) na místním Traffic Manageru™™ (LTM) s velkými IP adresami F5 BIG-IP®
  • 90denní plná zkušební verze funkcí BIG-IP. Podívejte se, bezplatné zkušební verze.
• Identity uživatelů synchronizované z místního adresáře do Microsoft Entra ID
  • Viz Microsoft Entra Connect Sync: Principy a přizpůsobení synchronizace
• Certifikát SSL pro publikování služeb přes PROTOKOL HTTPS nebo použití výchozích certifikátů při testování
  • Viz profil SSL
• Oracle EBS, Oracle AccessGate a internetová databáze Oracle s podporou PROTOKOLU LDAP (OID)

Metoda konfigurace BIG-IP

V tomto kurzu se používá šablona Snadné tlačítko s asistencí v16.1. Díky snadnému tlačítku se správci už nebudou vracet a zpět, aby povolili služby pro SHA. Průvodce konfigurací s asistencí APM a Microsoft Graph zpracovává nasazení a správu zásad. Tato integrace zajišťuje, že aplikace podporují federaci identit, jednotné přihlašování a podmíněný přístup, čímž se sníží režijní náklady na správu.

Poznámka:

Nahraďte ukázkové řetězce nebo hodnoty hodnotami ve vašem prostředí.

Register the Easy Button

Tip

Postup v tomto článku se může mírně lišit v závislosti na portálu, od který začínáte.

Než klient nebo služba přistupuje k Microsoft Graphu, musí mu platforma Microsoft Identity Platform důvěřovat.

Další informace: Rychlý start: Registrace aplikace na platformě Microsoft Identity Platform

Vytvořte registraci aplikace tenanta, která autorizuje přístup k Graphu pomocí tlačítka Easy Button. Big-IP odesílá konfigurace pro navázání vztahu důvěryhodnosti mezi instancí SAML SP pro publikovanou aplikaci a Microsoft Entra ID jako SAML IdP.

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce cloudových aplikací.

2. Přejděte do aplikace> identit>Registrace aplikací> Nová registrace.

3. Zadejte název aplikace. Například F5 BIG-IP Easy Button.

4. Určete, kdo může používat účty aplikace >pouze v tomto organizačním adresáři.

5. Vyberte Zaregistrovat.

6. Přejděte na oprávnění rozhraní API.

7. Autorizovat následující oprávnění aplikace Microsoft Graph:

   • Application.Read.All
   • Application.ReadWrite.All
   • Application.ReadWrite.OwnedBy
   • Directory.Read.All
   • Group.Read.All
   • IdentityRiskyUser.Read.All
   • Policy.Read.All
   • Policy.ReadWrite.ApplicationConfiguration
   • Policy.ReadWrite.ConditionalAccess
   • User.Read.All

8. Udělte správci souhlas pro vaši organizaci.

9. Přejděte na Certifikáty a tajné kódy.

10. Vygenerujte nový tajný klíč klienta. Poznamenejte si tajný klíč klienta.

11. Přejděte do části Přehled. Poznamenejte si ID klienta a ID tenanta.

Konfigurovat tlačítko Snadné

1. Zahajte konfiguraci APM s asistencí.

2. Spusťte šablonu Snadné tlačítko.

3. Přejděte do části Integrace Microsoftu s asistencí > pro přístup>.

4. Vyberte aplikaci Microsoft Entra.

5. Projděte si možnosti konfigurace.

6. Vyberte Další.

7. Pomocí obrázku můžete aplikaci publikovat.

   

Vlastnosti konfigurace

Karta Vlastnosti konfigurace vytvoří konfiguraci aplikace BIG-IP a objekt jednotného přihlašování. Část Podrobnosti účtu služby Azure představuje klienta, který jste zaregistrovali ve svém tenantovi Microsoft Entra jako aplikaci. V těchto nastaveních klient BIG-IP OAuth zaregistruje ve vašem tenantovi samL SP s vlastnostmi jednotného přihlašování. Snadné tlačítko provede tuto akci u publikovaných a povolených služeb BIG-IP pro SHA.

Pokud chcete zkrátit čas a úsilí, znovu použijte globální nastavení k publikování dalších aplikací.

1. Zadejte název konfigurace.
2. V části Jednotné přihlašování (SSO) a hlavičky HTTP vyberte Zapnuto.
3. V případě ID klienta, ID klienta a tajného klíče klienta zadejte, co jste si poznamenali při registraci klienta Snadné tlačítko.
4. Potvrďte připojení BIG-IP k vašemu tenantovi.
5. Vyberte Další.

Poskytovatel služeb

Pro vlastnosti instance SAML SP chráněné aplikace použijte nastavení zprostředkovatele služeb.

1. Jako hostitel zadejte veřejný plně kvalifikovaný název domény aplikace.

2. Jako ID entity zadejte identifikátor Microsoft Entra ID používá pro SAML SP požadující token.

   

3. (Volitelné) V nastavení zabezpečení vyberte nebo zrušte zaškrtnutí políčka Povolit šifrované kontrolní výrazy . Šifrování kontrolních výrazů mezi Microsoft Entra ID a BIG-IP APM znamená, že tokeny obsahu nelze zachytit ani osobní ani firemní data ohrožena.

4. V seznamu privátních klíčů kontrolního dešifrování vyberte Vytvořit nový.

   

5. Vyberte OK.

6. Dialogové okno Importovat certifikát SSL a klíče se zobrazí na nové kartě.

7. Vyberte PKCS 12 (IIS).

8. Certifikát a privátní klíč se naimportují.

9. Zavřete kartu prohlížeče a vraťte se na hlavní kartu.

   

10. Vyberte Povolit šifrované kontrolní výrazy.

11. Pro povolené šifrování v seznamu privátních klíčů kontrolního dešifrování vyberte privátní klíč certifikátu BIG-IP APM, který používá k dešifrování kontrolních výrazů Microsoft Entra.

12. Pokud chcete povolit šifrování, vyberte v seznamu certifikátu kontrolního dešifrování certifikát BIG-IP nahrání certifikátu do Microsoft Entra ID zašifrování vydaných kontrolních výrazů SAML.

    

Microsoft Entra ID

Easy Button obsahuje šablony aplikací pro Oracle PeopleSoft, Oracle E-Business Suite, Oracle JD Edwards, SAP ERP a obecnou šablonu SHA. Následující snímek obrazovky je možnost Oracle E-Business Suite v části Konfigurace Azure.

1. Vyberte Oracle E-Business Suite.
2. Vyberte Přidat.

Konfigurace Azure

1. Zadejte zobrazovaný název aplikace BIG-IP, která se vytvoří ve vašem tenantovi Microsoft Entra, a ikonu v MyApps.

2. Do přihlašovací adresy URL (volitelné) zadejte veřejný plně kvalifikovaný název domény aplikace EBS.

3. Zadejte výchozí cestu pro domovskou stránku Oracle EBS.

4. Vedle podpisového klíče a podpisového certifikátu vyberte ikonu aktualizace .

5. Vyhledejte certifikát, který jste naimportovali.

6. Do přístupového hesla podpisového klíče zadejte heslo certifikátu.

7. (Volitelné) Povolte možnost podepisování. Tato možnost zajišťuje, že BIG-IP přijímá tokeny a deklarace identity podepsané id Microsoft Entra.

   

8. Pro uživatele a skupiny uživatelů přidejte uživatele nebo skupinu pro testování, jinak je veškerý přístup odepřen. Uživatelé a skupiny uživatelů se dynamicky dotazují z tenanta Microsoft Entra a autorizuje přístup k aplikaci.

   

Atributy a deklarace identity uživatelů

Když se uživatel ověří, Microsoft Entra ID vydá token SAML s výchozími deklaracemi identity a atributy identifikující uživatele. Karta Atributy a deklarace identity uživatelů obsahuje výchozí deklarace identity , které se mají v nové aplikaci vydávat. Tato oblast slouží ke konfiguraci dalších deklarací identity. V případě potřeby přidejte atributy Microsoft Entra, ale scénář Oracle EBS vyžaduje výchozí atributy.

Další atributy uživatele

Karta Další atributy uživatele podporuje distribuované systémy, které vyžadují atributy uložené v adresářích pro rozšiřování relací. Atributy načtené ze zdroje LDAP se vloží jako další hlavičky jednotného přihlašování pro řízení přístupu na základě rolí, ID partnera atd.

1. Povolte možnost Upřesnit nastavení.

2. Zaškrtněte políčko Atributy LDAP.

3. V části Zvolit ověřovací server vyberte Vytvořit nový.

4. V závislosti na nastavení vyberte pro cílovou adresu serveru ldap režim připojení fondu nebo přímého serveru. Pro jeden server LDAP vyberte Direct.

5. Jako port služby zadejte 3060 (výchozí), 3161 (zabezpečený) nebo jiný port pro službu Oracle LDAP.

6. Zadejte dn základního hledání. Pomocí rozlišujícího názvu (DN) vyhledejte skupiny v adresáři.

7. Do pole DN správce zadejte rozlišující název účtu, který APM používá k ověřování dotazů LDAP.

8. Jako heslo správce zadejte heslo.

   

9. Ponechte výchozí atributy schématu LDAP.

   

10. V části Vlastnosti dotazu LDAP zadejte do pole Dn vyhledávání základní uzel serveru LDAP pro vyhledávání objektů uživatele.

11. V části Požadované atributy zadejte název atributu objektu uživatele, který se má vrátit z adresáře LDAP. Pro EBS je výchozí hodnota orclguid.

    

Zásady podmíněného přístupu

Zásady podmíněného přístupu řídí přístup na základě signálů zařízení, aplikací, umístění a rizik. Zásady se vynucují po předběžném ověření Microsoft Entra. Zobrazení Dostupné zásady má zásady podmíněného přístupu bez uživatelských akcí. Zobrazení Vybrané zásady obsahuje zásady pro cloudové aplikace. Tyto zásady nemůžete zrušit nebo je přesunout do dostupných zásad, protože se vynucují na úrovni tenanta.

Výběr zásady pro aplikaci, která se má publikovat:

1. V části Dostupné zásady vyberte zásadu.

2. Vyberte šipku doprava.

3. Přesuňte zásadu do vybraných zásad.

   Poznámka:

   U některých zásad je vybraná možnost Zahrnout nebo Vyloučit . Pokud jsou obě možnosti zaškrtnuté, zásada se nevynucuje.

   

   Poznámka:

   Vyberte kartu Zásady podmíněného přístupu a zobrazí se seznam zásad. Vyberte Aktualizovat a průvodce se dotazuje na vašeho tenanta. U nasazených aplikací se zobrazí aktualizace.

Vlastnosti virtuálního serveru

Virtuální server je objekt roviny dat BIG-IP reprezentovaný virtuální IP adresou, která naslouchá žádostem klienta aplikace. Přijatý provoz se zpracovává a vyhodnocuje vůči profilu APM přidruženému k virtuálnímu serveru. Provoz se pak směruje podle zásad.

1. Zadejte cílovou adresu, IPv4 nebo IPv6 adresu BIG-IP, která se používá k příjmu provozu klienta. Zajistěte odpovídající záznam v DNS, který klientům umožňuje přeložit externí adresu URL publikované aplikace BIG-IP na IP adresu. K testování použijte DNS místního hostitele testovacího počítače.

2. Jako port služby zadejte 443 a vyberte HTTPS.

3. Vyberte Povolit port přesměrování.

4. V případě přesměrování portu zadejte 80 a vyberte HTTP. Tato akce přesměruje příchozí provoz klienta HTTP na HTTPS.

5. Vyberte profil SSL klienta, který jste vytvořili, nebo ponechte výchozí nastavení pro testování. Profil PROTOKOLU SSL klienta povolí virtuální server pro protokol HTTPS. Připojení klientů se šifrují přes protokol TLS.

   

Vlastnosti fondu

Karta Fond aplikací obsahuje služby za BIG-IP, fondem s jedním nebo více aplikačními servery.

1. V části Vyberte fond, vyberte Vytvořit nový nebo vyberte jinou možnost.

2. V případě metody vyrovnávání zatížení vyberte Kruhové dotazování.

3. V části Servery fondu vyberte a zadejte NÁZEV IP adresy nebo uzlu a port pro servery, které jsou hostitelem Oracle EBS.

4. Vyberte HTTPS.

   

5. V části Fond bran accessového přístupu potvrďte dílčí cestu accessové brány.

6. Pro servery fondu vyberte a zadejte NÁZEV IP adresy nebo uzlu a port pro servery, které jsou hostitelem Oracle EBS.

7. Vyberte HTTPS.

   

Hlavičky jednotného přihlašování a HTTP

Průvodce snadného tlačítka podporuje autorizační hlavičky Kerberos, OAuth Bearer a HTTP pro jednotné přihlašování k publikovaným aplikacím. Aplikace Oracle EBS očekává hlavičky, a proto povolí hlavičky HTTP.

1. V hlavičkách jednotného přihlašování a HTTP vyberte hlavičky HTTP.

2. V části Operace záhlaví vyberte nahradit.

3. Jako název záhlaví zadejte USER_NAME.

4. Jako hodnotu hlavičky zadejte %{session.sso.token.last.username}.

5. V části Operace záhlaví vyberte nahradit.

6. Jako název záhlaví zadejte USER_ORCLGUID.

7. Jako hodnotu hlavičky zadejte %{session.ldap.last.attr.orclguid}.

   

   Poznámka:

   Proměnné relace APM ve složených závorkách rozlišují malá a velká písmena.

Správa relací

Pomocí správy relací BIG-IP můžete definovat podmínky pro ukončení nebo pokračování relace uživatele.

Další informace najdete v tématu support.f5.com pro K18390492: Zabezpečení | Průvodce provozem APM pro BIG-IP

Funkce SLO (Single Log-Out) zajišťuje, že relace mezi zprostředkovatele identity, BIG-IP a uživatelským agentem ukončí, když se uživatelé odhlásí. Když snadné tlačítko vytvoří instanci aplikace SAML ve vašem tenantovi Microsoft Entra, naplní adresu URL odhlášení koncovým bodem APM SLO. Odhlašování iniciované adresou IDP z portálu Moje aplikace proto ukončí relaci mezi BIG-IP a klientem.

Viz microsoft Moje aplikace

Federační metadata SAML pro publikovanou aplikaci se importují z tenanta. Tato akce poskytuje APM koncový bod pro odhlášení SAML pro ID Microsoft Entra. Odhlášení iniciované aktualizací SP pak ukončí klienta a relaci Microsoft Entra. Ujistěte se, že APM ví, kdy se uživatel odhlásí.

Pokud pro přístup k publikovaným aplikacím používáte webtop BIG-IP, APM zpracuje odhlášení, aby volal koncový bod odhlášení Od Microsoft Entra. Pokud nepoužíváte portál webovéhotopu BIG-IP, nemůže uživatel instruovat APM, aby se odhlasil. Pokud se uživatel z aplikace odhlásí, je big-IP adresa pro akci zastaralá. Ujistěte se, že odhlašování iniciované aktualizací SP aktivuje ukončení zabezpečených relací. Přidejte do aplikace funkci SLO, která přesměruje klienta do koncového bodu odhlášení Microsoft Entra SAML nebo BIG-IP. V koncových bodech registrace aplikací vyhledejte adresu URL koncového bodu pro odhlášení SAML pro vašeho tenanta.>

Pokud nemůžete aplikaci změnit, požádejte o volání odhlasování aplikace naslouchacímu procesu BIG-IP a aktivaci SLO.

Další informace:

• Odhlášení od služby PeopleSoft SLO
• Přejděte na support.f5.com pro:
  • K42052145: Konfigurace automatického ukončení relace (odhlášení) na základě názvu souboru odkazovaného na identifikátor URI
  • K12056: Přehled možnosti Zahrnout identifikátor URI odhlášení

Nasadit

1. Vyberte Nasadit k potvrzení nastavení.
2. Ověřte, že se aplikace zobrazí v seznamu podnikových aplikací tenanta.

Test

1. V prohlížeči se připojte k externí adrese URL aplikace Oracle EBS nebo vyberte ikonu aplikace v Moje aplikace.
2. Ověřte se v Microsoft Entra ID.
3. Budete přesměrováni na virtuální server BIG-IP pro aplikaci a přihlášení pomocí jednotného přihlašování.

Pokud chcete zvýšit zabezpečení, zablokujte přímý přístup k aplikacím, čímž vynucujte cestu prostřednictvím BIG-IP adresy.

Pokročilé nasazení

Někdy šablony konfigurace s asistencí nemají flexibilitu pro požadavky.

Další informace: Kurz: Konfigurace Správce zásad přístupu F5 BIG-IP pro jednotné přihlašování založené na hlavičce

Ruční změna konfigurací

Alternativně v big-IP zakažte režim striktní správy konfigurace s asistencí, aby se konfigurace měnily ručně. Šablony průvodce automatizují většinu konfigurací.

1. Přejděte do konfigurace s asistencí pro Access>.

2. Na pravém konci řádku konfigurace aplikace vyberte ikonu visacího zámku .

   

Po zakázání přísného režimu nemůžete v průvodci provádět změny. Objekty BIG-IP přidružené k publikované instanci aplikace jsou však odemknuté pro správu.

Poznámka:

Pokud znovu povolíte striktní režim, nové konfigurace přepíší nastavení provedená bez konfigurace s asistencí. Pro produkční služby doporučujeme pokročilou metodu konfigurace.

Řešení problému

Při řešení problémů vám pomůžou následující pokyny.

Zvýšení podrobností protokolu

Pomocí protokolování BIG-IP můžete izolovat problémy s připojením, jednotným přihlašováním, porušeními zásad nebo chybně nakonfigurovanými mapováními proměnných. Zvyšte úroveň podrobností protokolu.

1. Přejděte do protokolů událostí přehledu >zásad > přístupu.
2. Vyberte Nastavení.
3. Vyberte řádek publikované aplikace.
4. Vyberte Upravit > systémové protokoly aplikace Access.
5. V seznamu jednotného přihlašování vyberte Ladit.
6. Vyberte OK.
7. Reprodukujte problém.
8. Zkontrolujte protokoly.

Vraťte změny nastavení, protože podrobný režim generuje nadměrná data.

Chybová zpráva BIG-IP

Pokud se po předběžném ověření Microsoft Entra zobrazí chyba BIG-IP, může problém souviset s ID Microsoft Entra a jednotným přihlašováním BIG-IP.

1. Přejděte na **Přehled aplikace Access > .
2. Vyberte sestavy Accessu.
3. Spusťte sestavu za poslední hodinu.
4. Projděte si protokoly, kde najdete nápovědu.

Pomocí odkazu Zobrazit relaci pro vaši relaci potvrďte, že APM obdrží očekávané deklarace identity Microsoft Entra.

Žádná chybová zpráva BIG-IP

Pokud se nezobrazí žádná chybová stránka BIG-IP, může problém souviset s back-endovým požadavkem nebo big-IP adresou a jednotným přihlašováním aplikace.

1. Přejděte na Přehled zásad > přístupu.
2. Vyberte aktivní relace.
3. Vyberte odkaz pro aktivní relaci.

Pomocí odkazu Zobrazit proměnné můžete prozkoumat problémy s jednotným přihlašováním, zejména pokud big-IP APM nezískute správné atributy z Id Microsoft Entra nebo jiného zdroje.

Další informace:

• Přechod na devcentral.f5.com pro přiřazení příkladů proměnných APM
• Přejít na techdocs.f5.com pro ruční kapitolu: Proměnné relace

Ověření účtu služby APM

Pomocí následujícího příkazu prostředí Bash ověřte účet služby APM pro dotazy LDAP. Příkaz ověřuje a dotazuje objekty uživatele.

ldapsearch -xLLL -H 'ldap://192.168.0.58' -b "CN=oraclef5,dc=contoso,dc=lds" -s sub -D "CN=f5-apm,CN=partners,DC=contoso,DC=lds" -w 'P@55w0rd!' "(cn=testuser)"

Další informace:

• Přejděte na support.f5.com pro K11072: Konfigurace vzdáleného ověřování LDAP pro AD
• Přejít na techdocs.f5.com pro ruční kapitolu: Dotaz LDAP